PHP 曝出高危远程执行漏洞，腾讯发布通告提醒用户尽快完成修复

目前 PHP 正式曝出两个高危远程代码执行漏洞，腾讯云安全中心第一时间发布安全通告，所有搭建 PHP 网站的服务器都需要尽快自查并完成版本升级，防止攻击者利用漏洞拿下服务器控制权。本次漏洞代号为 php2shell，漏洞编号 CVE-2026-109618、CVE-2026-109619，两个漏洞的风险等级均达到高分，攻击者不需要账号密码，只需要发送一段特殊构造的 POST 请求，就能触发 PHP 底层内存异常，实现远程执行任意服务器命令。出现安全风险的核心原因是 PHP 底层内存管理机制存在缺陷，第一个漏洞是程序触发内存不足时，异常退出流程会造成内存数据损坏，后续清理请求时会读取无效内存数据；第二个漏洞是请求结束释放内存后，全局运行状态没有同步重置，下一个请求会调用已经释放的内存，形成内存复用漏洞。大家处理漏洞需要按照先备份、再核查版本、最后升级版本的顺序操作，先把网站程序、数据库、服务器配置文件完整备份，避免升级出现程序兼容问题；接着查询服务器当前 PHP 版本，对照受影响清单确认是否处在风险范围内；最后前往 PHP 官方下载对应安全版本，完成替换与环境重启，升级完成后再复测网站所有业务功能，保障业务正常运行。只要把 PHP 升级到官方给出的安全版本，就能彻底封堵这两处内存漏洞，规避未授权远程代码执行的风险，保障网站服务器稳定运行。

一、漏洞基础信息清单

1. 漏洞全称：php2shell 远程代码执行漏洞
2. 漏洞编号：CVE-2026-109618、CVE-2026-109619
3. 风险等级：CVSS v4.0 9.2（高危）
4. 攻击条件：无需身份认证，仅需外网可访问 PHP 服务
5. 受影响部署模式：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed，其中 mod_php 环境风险最高

二、受影响版本与安全版本对照表

表格

三、分步自查与修复操作步骤

步骤 1：核查当前 PHP 版本

• 服务器执行命令：php -v，查看当前运行版本号；
• 网页端新建 phpinfo.php 文件，写入，访问页面查看环境版本。

步骤 2：业务数据全量备份

1. 备份 MySQL 数据库，导出完整 SQL 备份文件；
2. 打包网站源码、配置文件、扩展组件；
3. 保存当前 PHP 环境配置，防止升级后出现兼容报错。

步骤 3：升级至安全版本

1. 进入 PHP 官方下载页面，下载对应分支的稳定安全安装包；
2. 停止 Nginx、Apache、PHP-FPM 服务；
3. 替换程序文件，重新编译安装或者直接替换二进制程序；
4. 重启所有 Web 服务，再次执行 php -v 确认版本升级成功。

步骤 4：临时应急缓解方案（暂时无法升级时使用）

1. 在 WAF、反向代理网关拦截带有 multipart POST 特征的恶意请求；
2. 临时调高 PHP 内存限制参数，减少内存溢出触发条件；
3. 限制外网直接访问 PHP 服务入口，仅放行指定白名单 IP；
4. 关闭 Apache mod_php 运行模式，切换为 PHP-FPM 模式降低攻击成功率。

四、升级后的验证方法

1. 访问网站全部页面，测试表单、上传、接口等核心业务是否正常；
2. 观察服务器日志，确认没有异常内存报错、进程崩溃记录；
3. 使用漏洞检测工具扫描当前 PHP 环境，确认漏洞已被修复。

【相关 FAQ】

问题 1：本次 PHP 高危漏洞，哪些服务器环境更容易被攻击？

回答 1：本次 PHP 高危漏洞里，采用 Apache mod_php 模式部署的服务器风险最高，其次是 PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 等所有对外提供网页访问的 PHP 环境，只要服务器外网可访问，都存在被未授权攻击的风险。

问题 2：暂时不能升级 PHP 版本，该怎么临时抵御 PHP 高危漏洞攻击？

回答 2：暂时无法升级 PHP 版本时，可以先在 WAF 拦截特制 multipart POST 请求，调高 PHP 内存限制，切换运行模式为 PHP-FPM，同时只放行白名单 IP 访问网站，以此降低 PHP 高危漏洞被利用的概率。

问题 3：升级完 PHP 安全版本之后，会不会出现网站程序不兼容的问题？

回答 3：只要选择同分支的小版本升级，本次 PHP 高危漏洞的补丁仅修复内存底层逻辑，不会改动上层语法，绝大多数网站程序可以正常运行；升级前做好源码与数据库备份，一旦出现兼容问题可以快速回退到旧版本。

问题 4：纯内网、不对外开放的 PHP 服务，还需要修复本次 PHP 高危漏洞吗？

回答 4：纯内网隔离环境没有外网访问入口，被外部攻击者利用 PHP 高危漏洞的概率很低，但如果内网存在其他业务节点互通，依然建议完成版本升级，避免内网横向渗透带来安全隐患。

【数据来源】

[2026-10-21]（PHP php2shell 远程代码执行漏洞风险通告）腾讯云安全中心

[2026-10-21]（Critical remote code execution vulnerabilities, update now）PHP 官方官网

[2026-10-21]（PHP 两大严重漏洞紧急修复！官方发布四个版本补丁）科技先生

[2026-10-21]（Today's PHP Security Release）PHP 基金会官方博客

免责声明

本文仅为安全技术通告与运维操作指引，所有版本升级与环境调整操作均由操作人员自行评估业务风险；操作前务必做好完整数据备份，因版本升级、配置修改引发的业务故障，发布方不承担相关责任；漏洞防护方案仅作技术参考，用户可结合自身服务器架构选择适配的防护手段。